Dari Kata Sandi hingga Bukti: Bagaimana vLEI Authenticator Menetapkan Peran Organisasi yang Dapat Diverifikasi

Andre Kudra, CIO esatus AG, memberikan pendalaman teknis tentang bagaimana vLEI Authenticator, yang dikembangkan bekerja sama dengan GLEIF, mengoperasionalkan penggunaan vLEI ke dalam sistem manajemen identitas dan akses untuk memungkinkan proses masuk yang secara otomatis memvalidasi peran dan otoritas organisasi seseorang.

---

---

Dalam manajemen identitas digital, autentikasi masih bergantung pada asumsi. Kami memverifikasi kredensial, kata sandi, atau token yang memberi tahu kami siapa yang diklaim oleh pengguna, tetapi jarang sekali siapa yang mereka wakili atau di bawah otoritas apa mereka bertindak. Andre Kudra, CIO esatus AG, sebelumnya menjelaskan bagaimana vLEI Authenticator - yang dikembangkan bekerja sama dengan GLEIF - menjembatani kesenjangan ini dengan menetapkan identitas organisasi yang dapat diverifikasi dan peran yang didelegasikan, yang dibangun di atas bukti kriptografi dan bukan pernyataan kepercayaan. Dalam tindak lanjut ini, Dr. Kudra mendalami fondasi teknis yang mendasari vLEI Authenticator.

Ketika "siapa" tidak cukup

Dalam sistem perusahaan, pengguna masuk sebagai individu. Tetapi banyak proses, seperti audit Kepatuhan, orientasi pemasok, akses data, dan pelaporan peraturan, membutuhkan pengetahuan tentang organisasi di balik orang tersebut dan peran formal mereka di dalamnya. Selain itu, sistem identitas tradisional, bahkan yang berbasis federasi atau SSO, mengandalkan pernyataan seperti "pengguna X adalah milik perusahaan Y." Klaim-klaim ini tidak dapat diverifikasi secara kriptografi dan bergantung pada pemeliharaan direktori atau kepercayaan kontrak.

Pengenal Badan Hukum yang dapat diverifikasi (vLEI) mengatasi keterbatasan ini. Memanfaatkan teknologi Authentic Chained Data Container (ACDC) dan protokol Key Event Receipt Infrastructure (KERI), vLEI merupakan kredensial digital untuk organisasi, yang diterbitkan oleh Penerbit vLEI yang Memenuhi Syarat (QVI) di bawah Tata Kelola GLEIF. KERI memverifikasi bahwa suatu organisasi secara resmi ada dan bahwa individu tertentu diberi wewenang untuk bertindak atas namanya. Semua informasi diamankan secara kriptografis, dapat dibaca oleh mesin, dan dapat diverifikasi di dalam ekosistem vLEI GLEIF.

Ketika digabungkan dengan kredensial Peran Organisasi Resmi (OOR) atau Peran Konteks Keterlibatan (ECR), vLEI tidak hanya dapat menyatakan organisasi mana yang dimiliki oleh seseorang, tetapi juga fungsi yang mereka jalankan, misalnya, sebagai CFO, petugas Kepatuhan, atau perwakilan resmi.

VLEI Authenticator mengoperasionalkan konsep ini dalam sistem Manajemen Identitas dan Akses (IAM) di dunia nyata. Begini cara kerjanya.

Dari identitas hingga verifikasi: Arsitektur yang praktis

VLEI Authenticator berintegrasi dengan Keycloak, solusi IAM sumber terbuka, melalui Antarmuka Penyedia Layanan (SPI). Ini tidak memodifikasi Keycloak itu sendiri, tetapi memperluas alur autentikasi dengan langkah verifikasi tambahan.

Ketika pengguna memilih "Login dengan vLEI," Keycloak mendelegasikan proses tersebut ke SOWL, yang merupakan lapisan orkestrasi yang dikembangkan oleh esatus. SOWL menjembatani komponen identitas terdesentralisasi seperti dompet, pengesah, dan penerbit dengan infrastruktur IAM perusahaan. SOWL mengoordinasikan permintaan, presentasi, dan validasi kredensial yang dapat diverifikasi, kemudian mengembalikan hasil verifikasi yang telah ditandatangani ke Keycloak, yang menerbitkan OpenID Connect (OIDC) atau token SAML yang biasa.

Dalam praktiknya, sebagian besar proses berjalan secara otomatis di latar belakang. Ini berarti bahwa dari sudut pandang pengguna, masuk dengan vLEI semudah memilih opsi dan mengonfirmasi presentasi kredensial di dompet mereka.

Urutan berikut ini menjelaskan apa yang terjadi di balik layar:

1. Pengguna memilih "Masuk dengan vLEI" di aplikasi seperti Nextcloud.
2. Keycloak memicu alur autentikasi SOWL.
3. SOWL berinteraksi dengan ekstensi peramban KERIAuth, yang meminta kredensial vLEI OOR atau ECR pengguna dari Dompet KERIa Cloud mereka.
4. Dompet membuat presentasi yang dapat diverifikasi dan header tanda tangan, sehingga presentasi yang dapat diverifikasi dapat dikirim ke verifier.
5. Kemudian mengembalikan presentasi yang dapat diverifikasi dan header tanda tangan melalui ekstensi KERIAuth kembali ke SOWL.
6. SOWL meneruskan presentasi tersebut ke Verifier vLEI, yang memeriksa keaslian dan integritas melalui rantai kepercayaan KERI di bawah Tata Kelola GLEIF.
7. Setelah divalidasi, SOWL mengonfirmasi hasilnya ke Keycloak, yang menyelesaikan autentikasi dan mengeluarkan token akses.

Kata sandi bersifat opsional dalam alur ini, dan kompatibilitas dengan login nama pengguna-kata sandi yang sudah ada dipertahankan. Login berhasil hanya jika kredensial organisasi (vLEI) dan kredensial peran (OOR atau ECR) valid, ditandatangani secara kriptografis, dan dapat dilacak ke penerbit yang berwenang. GLEIF menyebutnya rantai kepercayaan vLEI.

SOWL: Membuat Kredensial yang Dapat Diverifikasi Berfungsi pada Skala Perusahaan

Seperti yang dirujuk, SOWL adalah lapisan platform yang dikembangkan oleh esatus untuk mengelola kredensial yang dapat diverifikasi di berbagai sistem. Desainnya selaras dengan Kerangka Kerja Referensi Arsitektur (ARF) UE dan mendukung standar seperti OpenID4VCI dan OpenID4VP, serta format kredensial seperti SD-JWT dan mDoc.

Dalam kasus penggunaan vLEI Authenticator, SOWL menyediakan tiga kemampuan inti:

1. Orkestrasi: mengoordinasikan aliran antara dompet, verifikator, dan sistem IAM sambil menjaga domain kepercayaan tetap terpisah.
2. Standardisasi: mengekspos antarmuka REST yang seragam sehingga Keycloak, dan kemungkinan sistem IAM lainnya di masa mendatang, dapat menggunakan hasil verifikasi sebagai keputusan autentikasi.
3. Kepatuhan dan kemampuan audit: memastikan bahwa setiap peristiwa verifikasi dicatat, dapat direproduksi, dan diselaraskan dengan model Tata Kelola GLEIF.

Dengan memisahkan logika verifikasi dari sistem IAM, SOWL memungkinkan infrastruktur yang sudah ada untuk menggunakan kredensial yang dapat diverifikasi tanpa mendesain ulang. SOWL memperluas batas-batas kepercayaan ke dalam domain identitas yang terdesentralisasi dengan tetap mempertahankan kontrol dan keterlacakan perusahaan.

Menggabungkan Tata Kelola dan kriptografi

Dalam ekosistem vLEI, Tata Kelola dan kriptografi bekerja seiring sejalan. GLEIF mendefinisikan aturan dan jangkar kepercayaan untuk LEI dan vLEI, tetapi tidak menerbitkannya. QVI menerbitkan di bawah Tata Kelola yang ditentukan untuk vLEI Badan Hukum serta kredensial OOR, dan Badan Hukum mengelola kredensial ECR mereka sendiri. Model kepercayaan berlapis ini menghubungkan Tata Kelola, penerbitan, verifikasi, dan kontrol akses dalam satu rantai:

• GLEIF menyediakan tata kelola global dan jangkar kepercayaan.
• QVI dan Badan Hukum menerbitkan kredensial.
• Verifikator independen memvalidasinya secara kriptografis.
• Sistem IAM seperti Keycloak mengonsumsi hasilnya melalui SOWL.

Hasilnya adalah otentikasi menjadi proses yang diatur dan dapat diverifikasi, bukan hanya keputusan kepercayaan lokal.

Apa yang diajarkan oleh integrasi dunia nyata kepada kami

Autentikasi berbasis vLEI telah diuji dan diterapkan di lingkungan perusahaan yang produktif, dan mengungkapkan pelajaran utama yang jelas:

• Integrasi: Pendekatan SPI di Keycloak memungkinkan integrasi modular dengan upaya rendah.
• Pengalaman pengguna: Alur masuknya intuitif dan tidak mengandalkan kata sandi.
• Keamanan: Dompet kustodian menyederhanakan operasi tetapi membutuhkan ketersediaan; kata sandi tetap penting untuk perlindungan kunci.
• Performa: Verifikasi selesai dalam hitungan detik.
• Stabilitas: Presentasi berbasis browser melalui KERIAuth terbukti kuat dan dapat dioperasikan.

Hasilnya adalah proses login yang secara otomatis memvalidasi peran dan otoritas organisasi seseorang melalui kredensial yang dapat diverifikasi. Organisasi berhasil menggunakan vLEI Authenticator untuk memverifikasi identitas perusahaan dan otorisasi karyawan untuk bertindak atas nama mereka. Akses ke data diberikan hanya setelah verifikasi. Prosesnya hanya membutuhkan waktu beberapa detik dan menggantikan peninjauan manual yang biasanya memakan waktu berjam-jam atau berhari-hari.

Meskipun penerapan dalam ekosistem GLEIF menunjukkan bahwa autentikasi yang dapat diverifikasi siap digunakan di dunia nyata, tantangan berikutnya adalah interoperabilitas. Pekerjaan di masa depan berfokus pada pengintegrasian Authenticator dengan kerangka kerja identitas berbasis dompet seperti Dompet Bisnis European Digital Identity (EUDI). Meskipun KERI/ACDC dan SD-JWT VC bergantung pada fondasi yang berbeda, keduanya memiliki prinsip yang sama: kepercayaan terdistribusi yang diverifikasi oleh kriptografi. Menjembatani arsitektur ini akan menghubungkan IAM perusahaan dengan infrastruktur identitas digital Eropa, mengubah "kepercayaan" menjadi lapisan operasional bersama, bukan sekadar asumsi.

Dari masuk hingga membangun kepercayaan

VLEI Authenticator menunjukkan bagaimana identitas organisasi dan peran yang didelegasikan dapat disematkan pada sistem perusahaan tanpa mengganggu arsitektur yang ada. Dengan menggabungkan Tata Kelola GLEIF, kredensial yang dapat diverifikasi, dan orkestrasi SOWL, otentikasi menjadi dapat diverifikasi berdasarkan desain, dapat dibuktikan secara kriptografis, dapat diaudit, dan berdasarkan kebijakan.

Hal ini mengarah ke masa depan di mana akses perusahaan tidak didasarkan pada rahasia bersama tetapi pada kebenaran bersama yang dapat diverifikasi di seluruh organisasi dan sektor.

---